Ransom.MSIL.TENCRYPT.THCAABD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

身代金要求文書のファイルを作成します。 以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /C vssadmin delete shadows /all /quiet & wmic shadowcopy delete
• %System%\cmd.exe /C bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no
• %System%\cmd.exe /C wbadmin delete catalog -quiet

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
RESTORE_FILES-{Computer Name} = {Malware File Path}\{Malware File Name}.{Malware File Extension}

他のシステム変更

マルウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

• %User Temp%\{9 Random Characters}.jpg
  

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• agntsvc
• CNTAoSMgr
• code
• dbeng50
• dbsnmp
• encsvc
• excel
• firefoxconfig
• infopath
• isqlplussvc
• mbamtray
• msaccess
• msftesql
• mspub
• mydesktopqos
• mydesktopservice
• mysqld
• mysqld-nt
• mysqld-opt
• Ntrtscan
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• PccNTMon
• powerpnt
• ProcessHacker
• sqbcoreservice
• sqlagent
• sqlbrowser
• sqlservr
• sqlwriter
• steam
• synctime
• tbirdconfig
• thebat
• thebat64
• thunderbird
• tmlisten
• VBoxSVC
• VirtualBoxVM
• visio
• vmplayer
• winword
• wordpad
• wps
• xfssvccon
• zoolz

その他

マルウェアは、以下を実行します。

• It checks if the size of the file to encypt is less than or greater than 524,288 bytes
  • If it is less than 524,288 bytes, it will encrypt the whole file.
  • If it is greater than 524,288 bytes, it will use intermittent encryption - First 131,072 bytes, another 131,072 bytes from the middle of the file, and the last 131,072 bytes
• It empties the recycle bin.
• It encrypts its targeted files twice.
• It avoids encrypting files with the following file names:
  • autorun.inf
  • boot.ini
  • bootfont.bin
  • bootmgfw.efi
  • bootmgr
  • bootmgr.efi
  • desktop.ini
  • iconcache.db
  • ntuser.dat
  • ntuser.ini
  • RESTORE_FILES-{Computer Name}.txt
  • thumbs.db

ランサムウェアの不正活動

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• c:\perflogs
• c:\program files
• c:\program files (x86)
• c:\programdata
• c:\users\all users
• c:\users\default
• c:\windows
• c:\windows.old

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• $recycle.bin
• $windows.~bt
• $windows.~ws
• appdata
• documents and settings
• intel
• mozilla
• PerfLogs
• perflogs
• program files
• program files (x86)
• programdata
• system volume information
• windows
• windows.old
• windows.old.old

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• .crypted

マルウェアが作成する以下のファイルは、脅迫状です。

• {Encrypted File Path}\RESTORE_FILES-{Computer Name}.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• {Files with no file extension}
• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .crypted
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .hta
• .icl
• .icns
• .ico
• .ics
• .idx
• .key
• .ldf
• .lnk
• .lock
• .mod
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .pdb
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .spl
• .sys
• .theme
• .themepack
• .wpx

<補足>
その他

マルウェアは、以下を実行します。

• 暗号化するファイルのサイズが524,288バイトより小さいか大きいかを確認します。
  • 524,288バイト未満の場合、ファイル全体を暗号化します。
  • 524,288バイトを超える場合は、断続的な暗号化を用います。 - 最初の131,072バイト、ファイルの中央からさらに131,072バイト、および最後の131,072バイト
• ごみ箱を空にします。
• 標的とするファイルを2回暗号化します。
• 以下のファイル名を持つファイルの暗号化はしません。
  • autorun.inf
  • boot.ini
  • bootfont.bin
  • bootmgfw.efi
  • bootmgr
  • bootmgr.efi
  • desktop.ini
  • iconcache.db
  • ntuser.dat
  • ntuser.ini
  • RESTORE_FILES-{コンピュータ名}.txt
  • thumbs.db